VMs confidenciais e Compute Engine

Uma máquina virtual confidencial (VM confidencial) é um tipo de VM N2D do Compute Engine executada em hosts com base na segunda geração de processadores AMD Epyc, apelidada de "Roma". Com a virtualização criptografada segura (SEV, na sigla em inglês) da AMD, a VM confidencial apresenta otimização integrada do desempenho e da segurança para cargas de trabalho de alta memória de classe empresarial, bem como criptografia de memória in-line que não introduz uma penalidade de desempenho significativa em tais cargas de trabalho.

É possível selecionar o serviço de VM confidencial ao criar uma nova VM usando o Console do Google Cloud, a API Compute Engine ou a ferramenta de linha de comando gcloud.

Benefícios de desempenho

A família de processadores AMD Rome é otimizada especificamente para cargas de trabalho com uso intenso de computação, com alta capacidade de processamento e de memória e compatibilidade com cargas de trabalho em paralelo. Além disso, o SEV AMD tem compatibilidade com a Computação confidencial.

O SEV AMD oferece alto desempenho para as tarefas computacionais mais exigentes, mantendo toda a memória criptografada com uma chave de instância dedicada por VM gerada pelo hardware. Essas chaves são geradas pelo processador de segurança da plataforma (PSP, na sigla em inglês) AMD durante a criação da VM e residem exclusivamente no processador. Essas chaves não podem ser acessadas pelo Google.

Recursos de segurança e privacidade

Além da criptografia de dados em trânsito e em repouso usando chaves de criptografia gerenciadas pelo cliente e chaves de criptografia fornecidas pelo cliente (respectivamente, CMEK e CSEK, nas siglas em inglês), a VM confidencial adiciona um "terceiro pilar" à história de criptografia de ponta a ponta ao criptografar dados enquanto está em uso. Com os ambientes de execução confidenciais fornecidos pela VM confidencial e pelo SEV AMD, o Google Cloud mantém o código confidencial dos clientes e outros dados criptografados na memória durante o processamento. O Google não tem acesso às chaves de criptografia. Além disso, a VM confidencial pode ajudar a diminuir as preocupações referentes aos riscos relacionados à dependência da infraestrutura do Google ou ao acesso aos dados do cliente por parte de pessoas com informações privilegiadas do Google.

A criptografia da memória principal é executada usando hardware dedicado nos controladores de memória no mesmo chip. Cada controlador inclui um mecanismo padrão de criptografia avançada (AES, na sigla em inglês) de alto desempenho. O mecanismo AES criptografa os dados à medida que eles são gravados no DRAM ou compartilhados entre soquetes e os descriptografa quando os dados são lidos.

A seguir